NIS2 macht die Sicherheit der Lieferkette in Artikel 21 Absatz 2 Buchstabe d zu einer der zehn Mindestmaßnahmen. Wenn Sie über diese Maßnahmen entscheiden, müssen Sie das Risiko berücksichtigen, das von jedem unmittelbaren Anbieter und Diensteanbieter ausgeht: seine spezifischen Schwachstellen, die Qualität seiner Produkte und Sicherheitspraktiken einschließlich sicherer Entwicklung sowie die Ergebnisse koordinierter Risikobewertungen auf EU-Ebene (Artikel 21 Absatz 3). Diese EU-Bewertungen nach Artikel 22 sind ein eigenes Verfahren, das die Kooperationsgruppe, die Kommission und die ENISA durchführen.
Dieser Leitfaden behandelt, was NIS2 verlangt, wer als Lieferant gilt, die Schritte der Bewertung, was in den Vertrag gehört, wie oft zu prüfen ist, was Artikel 22 ergänzt, was sich ändert, wenn Sie selbst Lieferant sind, und enthält eine Checkliste.
| Schritt | Was zu tun ist | Grundlage |
|---|---|---|
| 1. Erfassen | Alle unmittelbaren Anbieter und Diensteanbieter mit ihren Leistungen auflisten | Artikel 21 Absatz 2 Buchstabe d; Nummer 5.2 des Anhangs der Durchführungsverordnung 2024/2690 |
| 2. Einstufen | Nach dem Grad der Abhängigkeit Ihrer Dienste ordnen | Artikel 21 Absatz 1, Verhältnismäßigkeit |
| 3. Bewerten | Schwachstellen, Produktqualität, Sicherheitspraktiken und sichere Entwicklung prüfen | Artikel 21 Absatz 3 |
| 4. Vertraglich regeln | Sicherheitsanforderungen, Meldung von Sicherheitsvorfällen und Auditrechte schriftlich festhalten | Erwägungsgrund 85; Nummer 5.1.4 des Anhangs |
| 5. Überprüfen | In geplanten Abständen sowie nach Änderungen oder Sicherheitsvorfällen erneut prüfen | Nummern 5.1.6 und 5.1.7 des Anhangs |
| 6. Abgleichen | Koordinierte EU-Bewertungen berücksichtigen | Artikel 21 Absatz 3 und Artikel 22 |
Was verlangt NIS2 für die Sicherheit der Lieferkette?
Die Sicherheit der Lieferkette ist eine der zehn Maßnahmen nach Artikel 21, und der Text ist kurz. Artikel 21 Absatz 2 Buchstabe d verlangt „Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen den einzelnen Einrichtungen und ihren unmittelbaren Anbietern oder Diensteanbietern“.
Was hier „geeignet“ bedeutet, konkretisiert Artikel 21 Absatz 3. Wenn Sie über Maßnahmen für die Lieferkette entscheiden, müssen Sie Folgendes berücksichtigen:
- die spezifischen Schwachstellen der einzelnen unmittelbaren Anbieter und Diensteanbieter;
- die Gesamtqualität der Produkte und der Cybersicherheitspraxis ihrer Anbieter und Diensteanbieter, einschließlich der Sicherheit ihrer Entwicklungsprozesse;
- die Ergebnisse der gemäß Artikel 22 Absatz 1 durchgeführten koordinierten Risikobewertungen in Bezug auf die Sicherheit kritischer Lieferketten.
Auf das Wort „einzelnen“ kommt es an. Ein einziger allgemeiner Fragebogen an alle Lieferanten zeigt nicht, dass Sie die spezifischen Schwachstellen jedes einzelnen Anbieters berücksichtigt haben.
Wer gilt nach NIS2 als Lieferant?
NIS2 definiert nicht, wer als Lieferant gilt. Der Text spricht von Ihren unmittelbaren Anbietern und Diensteanbietern und ist nicht auf IKT beschränkt. Ein praktischer Ausgangspunkt ist jeder, der Ihnen IKT-Produkte oder -Dienste liefert oder Zugang zu Ihren Systemen hat, danach jeder andere, dessen Ausfall die Dienste im Anwendungsbereich beeinträchtigen würde. Erwägungsgrund 85 nennt Beispiele: Anbieter von Datenspeicherungs- und -verarbeitungsdiensten, Anbieter verwalteter Sicherheitsdienste und Softwarehersteller. Er ermutigt Einrichtungen, Cybersicherheitsmaßnahmen in ihre Verträge mit unmittelbaren Anbietern aufzunehmen, und sagt, Einrichtungen „könnten auch die Risiken berücksichtigen, die von Lieferanten und Dienstleistern anderer Ebenen ausgehen“.
Erwägungsgrund 86 hebt Anbieter verwalteter Sicherheitsdienste hervor, die Reaktion auf Sicherheitsvorfälle, Penetrationstests, Sicherheitsaudits und Beratung übernehmen. Weil sie eng in Ihre Abläufe eingebunden sind, verlangt er, bei ihrer Auswahl „erhöhte Sorgfalt“ walten zu lassen. Viele von ihnen sind selbst reguliert, wie in NIS2 für MSP und MSSP erläutert.
Wie führen Sie eine NIS2-Risikobewertung Ihrer Lieferanten durch?
Verhältnismäßig. Ein Reinigungsdienst und Ihr Cloud-Anbieter werden nicht gleich behandelt.
- Verzeichnis anlegen. Jeder unmittelbare Anbieter und Diensteanbieter, mit Ansprechpartner und den IKT-Produkten, -Diensten oder -Prozessen, die er liefert. Die Durchführungsverordnung (EU) 2024/2690 verlangt genau das von den Anbietern, die sie erfasst, und es ist eine sinnvolle Grundlage für alle.
- Nach Abhängigkeit einstufen. Welche Lieferanten könnten einen Dienst im Anwendungsbereich stoppen, auf Ihre Daten zugreifen oder privilegierten Zugriff haben? Das sind Ihre kritischen Lieferanten.
- Verhältnismäßig bewerten. Jeder unmittelbare Anbieter wird berücksichtigt; die Tiefe hängt davon ab, wie kritisch er ist. Bei einem kritischen Lieferanten prüfen Sie bekannte Schwachstellen und die Vorfallhistorie, Qualität und Resilienz dessen, was er verkauft, seine Sicherheitspraktiken und wie er Software entwickelt. Ein gültiges Zertifikat nach ISO 27001 mit passendem Geltungsbereich oder ein Bericht nach SOC 2 beantwortet einen Teil davon. Fragen, die speziell Ihre Nutzung des Dienstes betreffen, beantwortet es nicht.
- Entscheiden und dokumentieren. Akzeptieren, mindern (Vertragsklauseln, zusätzliche Kontrollen auf Ihrer Seite, ein zweiter Lieferant) oder ersetzen. Halten Sie die Begründung fest.
- Für den Ausfall planen. Was passiert bei jedem kritischen Lieferanten, wenn er kompromittiert wird oder wegfällt? Die Durchführungsverordnung nennt die Fähigkeit, Bezugsquellen zu diversifizieren und die Abhängigkeit von bestimmten Anbietern (Lock-in) zu begrenzen, als Auswahlkriterium.
Was sollte in Lieferantenverträgen stehen?
Die Durchführungsverordnung (EU) 2024/2690 gilt für DNS-Diensteanbieter, TLD-Namenregister, Anbieter von Cloud-Computing-Diensten und Rechenzentrumsdiensten, Betreiber von Inhaltszustellnetzen, Anbieter verwalteter Dienste, Anbieter verwalteter Sicherheitsdienste, Anbieter von Online-Marktplätzen, Online-Suchmaschinen und Plattformen für Dienste sozialer Netzwerke sowie Vertrauensdiensteanbieter. Für sie listet Nummer 5.1.4 ihres Anhangs auf, was Verträge mit Lieferanten gegebenenfalls festlegen müssen:
- Cybersicherheitsanforderungen an den Lieferanten, auch für die IKT-Produkte oder -Dienste, die er liefert;
- Anforderungen an Sensibilisierung, Kompetenzen, Schulung und gegebenenfalls Zertifizierungen seines Personals;
- Zuverlässigkeitsüberprüfungen seines Personals;
- die Pflicht, Ihnen Sicherheitsvorfälle, die ein Risiko für Ihre Systeme darstellen, unverzüglich zu melden;
- das Recht auf Prüfung (Audit) oder auf Erhalt von Prüfberichten;
- die Pflicht, Schwachstellen zu beheben, die ein Risiko für Ihre Systeme darstellen;
- Regeln zur Unterauftragsvergabe, mit denselben Sicherheitsanforderungen für Unterauftragnehmer;
- Pflichten bei Vertragsende, etwa die Rückgabe und Entsorgung Ihrer Informationen.
Wenn Sie nicht zu diesen Anbietern gehören, ist diese Liste für Sie nicht verbindlich. Sie ist aber die konkreteste offizielle Auslegung von Artikel 21 Absatz 2 Buchstabe d, die es gibt. Eine Behörde wird sie wiedererkennen.
Wie oft müssen Sie Lieferanten überprüfen?
In geplanten Abständen und bei wesentlichen Änderungen. Für die erfassten Anbieter verlangt die Durchführungsverordnung, das Konzept für die Sicherheit der Lieferkette zu überprüfen und auf Änderungen der Cybersicherheitspraktiken von Lieferanten zu reagieren, wenn sich Betriebsabläufe oder Risiken wesentlich ändern oder es erhebliche Sicherheitsvorfälle mit Beteiligung eines Lieferanten gibt. Dazu gehören die Überwachung von Service-Level-Berichten, die Auswertung lieferantenbezogener Sicherheitsvorfälle und die Analyse der Risiken aus Änderungen an dem, was Lieferanten bereitstellen.
In der Praxis: kritische Lieferanten einmal jährlich und bei jedem auslösenden Ereignis, etwa einer Sicherheitsverletzung, einer Übernahme oder einem neuen Unterauftragnehmer. Andere in einem längeren Zyklus.
Was ist eine koordinierte EU-Risikobewertung der Lieferkette?
Das regelt Artikel 22, und Sie führen sie nicht selbst durch. Die Kooperationsgruppe kann in Zusammenarbeit mit der Kommission und der ENISA koordinierte Risikobewertungen in Bezug auf die Sicherheit der Lieferketten bestimmter kritischer IKT-Dienste, -Systeme oder -Produkte durchführen. Welche das sind, legt die Kommission nach Konsultation der Kooperationsgruppe und der ENISA fest.
Die Erwägungsgründe beschreiben das Modell. Die 5G-Bewertung, die nach der Empfehlung (EU) 2019/534 der Kommission durchgeführt wurde, dient als Vorlage (Erwägungsgrund 90). Die Bewertungen betrachten technische und nichttechnische Risikofaktoren. Zu den nichttechnischen Faktoren gehören Fälle „ungebührlicher Einflussnahme eines Drittlandes auf Lieferanten und Diensteanbieter“, versteckte Schwachstellen oder Hintertüren sowie Versorgungsunterbrechungen durch Abhängigkeit von bestimmten Technologien oder Anbietern. Für die Auswahl der zu bewertenden Lieferketten nennt Erwägungsgrund 91 Kriterien wie den Umfang, in dem Einrichtungen auf ein Produkt angewiesen sind, die Verfügbarkeit von Alternativen und die Resilienz der Lieferkette.
Ihre Pflicht ist, die Ergebnisse zu berücksichtigen (Artikel 21 Absatz 3). Betrifft eine Bewertung ein Produkt, von dem Sie abhängen, sollten Ihr Risikoregister und Ihre Lieferantenentscheidungen zeigen, dass Sie sie gelesen haben.
Die Kommission hat im Januar 2026 einen weiter gefassten Rahmen vorgeschlagen. Die Überarbeitung des Rechtsakts zur Cybersicherheit würde einen EU-Rahmen für die Sicherheit vertrauenswürdiger IKT-Lieferketten schaffen. Danach dürften sich Betreiber elektronischer Kommunikationsnetze bei ihren kritischen Assets nicht auf Hochrisikoanbieter stützen. Es handelt sich um einen Vorschlag, noch nicht um geltendes Recht.
Was ändert sich, wenn Sie der Lieferant sind?
Wenn Ihre Kunden in den Anwendungsbereich fallen, erreicht NIS2 Sie über diese Kunden, auch wenn Sie selbst nicht reguliert sind. Rechnen Sie mit mehr Sicherheitsfragebögen, Sicherheitsklauseln in Verträgen, Anfragen nach Auditberichten und Zusagen zur Meldung von Sicherheitsvorfällen. Einmal mit wiederverwendbaren Nachweisen zu antworten ist günstiger, als jeden Fragebogen von vorn zu beantworten. Wie Sie einen Sicherheitsfragebogen beantworten beschreibt die Methode. Wenn Ihre Kunden einen Nachweis für ein Informationssicherheits-Managementsystem verlangen, zeigt ISO 27001 und NIS2, wie weit ein Zertifikat reicht.
Woran Programme für Lieferantenrisiken scheitern
Ein Lieferantenprogramm scheitert meist auf dieselbe Weise: eine Tabelle mit Fragebogenantworten von vor einem Jahr. Diese Antworten beschreiben, was der Lieferant gesagt hat, nicht was heute zutrifft. Der Lieferant, der seinen Hosting-Anbieter gewechselt, seinen Sicherheitsverantwortlichen verloren oder letzten Monat eine Sicherheitsverletzung erlitten hat, steht immer noch auf Grün.
Die Lösung: weniger Papier, mehr Signale. Halten Sie das Verzeichnis aktuell, indem Sie es mit Einkauf und Finanzen verknüpfen, damit neue Lieferanten automatisch erscheinen. Verfolgen Sie die wenigen Fakten, die das Risiko verändern: Ablaufdaten von Zertifikaten, offengelegte Sicherheitsverletzungen, Zugänge, die Lieferanten noch zu Ihren Systemen haben. Lassen Sie einen Menschen die Ausnahmen prüfen, nicht die ganze Liste. Diesen Ansatz verfolgt die CloudSoul-Plattform bei Nachweisen. Um herauszufinden, wo Ihre eigene Lieferkette in Bezug auf NIS2 steht, beginnen Sie mit einem Sicherheitsaudit. Das übergreifende Programm finden Sie auf der Seite zur NIS2-Compliance.
NIS2-Checkliste für die Lieferkette
- Führen Sie ein Verzeichnis aller unmittelbaren Anbieter und Diensteanbieter mit ihren jeweiligen Leistungen.
- Bestimmen Sie die kritischen Lieferanten anhand von Abhängigkeit, Datenzugriff und privilegiertem Zugriff.
- Berücksichtigen Sie jeden unmittelbaren Anbieter und bewerten Sie die kritischen gründlich: Schwachstellen, Produktqualität, Sicherheitspraktiken.
- Nehmen Sie Sicherheitsanforderungen, Meldung von Sicherheitsvorfällen, Auditrechte und Ausstiegsklauseln in kritische Verträge auf.
- Überprüfen Sie kritische Lieferanten mindestens jährlich und nach jeder wesentlichen Änderung oder jedem erheblichen Sicherheitsvorfall.
- Dokumentieren Sie einen Kontinuitätsplan für Ausfall oder Kompromittierung jedes kritischen Lieferanten.
- Prüfen Sie, ob eine koordinierte EU-Bewertung Produkte abdeckt, von denen Sie abhängen.
- Lassen Sie bei der Auswahl eines Anbieters verwalteter Sicherheitsdienste erhöhte Sorgfalt walten.
Quellen
- Richtlinie (EU) 2022/2555 (NIS2), Artikel 21 und 22 sowie Erwägungsgründe 85, 86, 90 und 91, EUR-Lex.
- Durchführungsverordnung (EU) 2024/2690 der Kommission, Anhang, Abschnitt 5, EUR-Lex.
- Europäische Kommission, Fragen und Antworten zum Cybersicherheitspaket, 20. Januar 2026, Shaping Europe’s digital future.
Häufige Fragen
Was verlangt NIS2 für die Sicherheit der Lieferkette?
Artikel 21 Absatz 2 Buchstabe d macht die Sicherheit der Lieferkette zu einer der zehn Mindestmaßnahmen. Sie umfasst die sicherheitsbezogenen Aspekte der Beziehung zu jedem unmittelbaren Anbieter und Diensteanbieter. Nach Artikel 21 Absatz 3 müssen Sie die spezifischen Schwachstellen jedes Anbieters, die Qualität seiner Produkte und seiner Sicherheitspraktiken einschließlich sicherer Entwicklung sowie die Ergebnisse koordinierter Risikobewertungen auf EU-Ebene berücksichtigen.
Erfasst NIS2 auch die Lieferanten meiner Lieferanten?
Die Pflicht bezieht sich auf Ihre unmittelbaren Anbieter und Diensteanbieter. Laut den Erwägungsgründen könnten Einrichtungen auch Risiken aus anderen Ebenen der Lieferkette berücksichtigen. Weitere Ebenen einzubeziehen ist daher gute Praxis und keine strikte Pflicht, es sei denn, Ihr nationales Recht oder die Regeln Ihrer Branche sehen etwas anderes vor.
Was ist eine NIS2-Risikobewertung der Lieferkette?
Der Begriff steht für zwei verschiedene Dinge. Auf Ebene der Einrichtung ist es Ihre eigene Bewertung des Risikos, das von jedem unmittelbaren Anbieter ausgeht. Auf EU-Ebene erlaubt Artikel 22 der Kooperationsgruppe, gemeinsam mit der Kommission und der ENISA koordinierte Risikobewertungen in Bezug auf die Sicherheit bestimmter kritischer IKT-Lieferketten durchzuführen, wie es für 5G-Netze geschehen ist.
Was sollte ein Lieferantenvertrag nach NIS2 enthalten?
Für Anbieter von Cloud-, Rechenzentrums-, DNS- und verwalteten Diensten sowie die anderen von ihr erfassten Anbieter listet die Durchführungsverordnung (EU) 2024/2690 die Vertragspunkte auf: Sicherheitsanforderungen, Kompetenzen und Zuverlässigkeitsüberprüfung des Personals, unverzügliche Meldung von Sicherheitsvorfällen, Auditrechte oder Auditberichte, Behebung von Schwachstellen, Regeln zur Unterauftragsvergabe und Pflichten bei Vertragsende. Andere Einrichtungen können dieselbe Liste als Maßstab nutzen.
Unterliegen meine Lieferanten direkt NIS2?
Nur wenn sie selbst in den Anwendungsbereich fallen, zum Beispiel ein mittelgroßer Anbieter verwalteter Dienste oder Cloud-Anbieter. Andernfalls erreicht NIS2 sie über Ihre Verträge und Ihre Bewertungen. Deshalb erhalten Lieferanten regulierter Unternehmen mehr Sicherheitsfragebögen.
